Een kwetsbaarheid in de Home-speakers van Google maakte het mogelijk voor aanvallers om een "backdoor" account toe te voegen en gebruikers af te luisteren, wifi-wachtwoorden te onderscheppen of andere aanvallen uit te voeren. Onderzoeker Matt Kunze ontdekte het probleem en waarschuwde Google, dat in eerste instantie geen actie ondernam. Nadat Kunze meer informatie had opgestuurd ging Google wel tot actie over en kwam met een update. Daarnaast beloonde het techbedrijf de onderzoeker met ruim 107.000 dollar.
Voor het toevoegen van een account aan een Google Home zijn drie zaken vereist: apparaatnaam, certificaat en "cloud ID". Deze informatie is via een lokale API te verkrijgen en moet vervolgens naar een server van Google worden gestuurd. Een aanvaller beschikt in eerste instantie niet over deze informatie en heeft waarschijnlijk ook geen toegang tot het wifi-netwerk van het doelwit. Kunze ontdekte dat een aanvaller in de buurt van iemand met een Google Homer deauth packets naar de speaker kan versturen, waardoor die de verbinding met het netwerk verbreekt en in setupmode gaat.
Nu kan de aanvaller verbinding met het setupnetwerk van de Google Home-speaker maken en de informatie van het apparaat opvragen. Vervolgens verstuurt de aanvaller de verkregen Google Home-informatie naar Google en kan zo zijn eigen account aan de speaker toevoegen. Vervolgens is het mogelijk om de gebruiker via zijn eigen speaker te bespioneren, waarbij het niet meer nodig voor de aanvaller is om in de buurt van het apparaat te zijn, aldus Kunze.
Zodra de aanvaller toegang tot de speaker heeft kan hij een telefoongesprek starten, waarbij de microfoon wordt ingeschakeld. Zo is het mogelijk om de gebruiker via zijn eigen Google Home af te luisteren. Het enige dat een slachtoffer kan opmerken is dat de led-lampjes blauw gekleurd zijn. Volgens de uitleg van Google houdt dit in dat het apparaat door de gebruiker moet worden geverifieerd. Bij een telefoongesprek knipperen de lampjes niet, zoals het geval is wanneer de speaker luistert naar commando's van de gebruiker.
Daarnaast is het volgens Kunze ook mogelijk om via de speaker andere acties uit te voeren, zoals het achterhalen van het wifi-wachtwoord, bedienen van smart home switches, het openen van smart garagedeuren, het doen van online aankopen, het op afstand ontgrendelen en starten van voertuigen en het openen van slimme sloten door de pincode van de gebruiker te bruteforcen.
Kunze waarschuwde Google op 8 januari 2021. Twaalf dagen later sloot Google de bugmelding, omdat het om "bedoeld gedrag" ging. De onderzoekers stuurde Google op 11 maart 2021 aanvullende informatie en een proof-of-concept exploit. Het techbedrijf kwam in april vorig jaar met een oplossing en beloonde de onderzoeker met een bedrag van 107.500 dollar.
Deze posting is gelocked. Reageren is niet meer mogelijk.